Почему происходит постоянный ARP запрос со шлюза?

Question

[saygo]

огромное количество таких строк в tcpdump
17:56:09.495341 ARP, Request who-has xx.xx.xx.91 tell xx.xx.xx.65, length 28
17:56:09.496031 ARP, Reply xx.xx.xx.91 is-at c4:a8:1d:dd:e5:83, length 46
17:56:10.495443 ARP, Request who-hasxx.xx.xx.91 tell xx.xx.xx.65, length 28
17:56:10.496313 ARP, Reply xx.xx.xx.91 is-at c4:a8:1d:dd:e5:83, length 46
17:56:11.495621 ARP, Request who-has xx.xx.xx.91 tell xx.xx.xx.65, length 28

91- пользователь
65 - шлюз

для других IP с той же подсети таких нюансов нет. Подскажите что это и как побороть.
Спасибо.

Answer 1

[Клёвый Админ]

Так уж устроен протокол IP.

Судя по-всему перед каждым пакетом за периметр вашей сети к новому IP, ваш ПК стучит на шлюз, дабы установить соединение.

Comments

[saygo]

В arp таблице шлюза (debian 7) есть запись для .91 , но шлюз постоянно запрашивает именно его, хотя по логике должен просто его хранить и запрашивать раз в несколько часов/дней/месяцев в зависимости от настроек.

[Клёвый Админ]

@saygo а что за ОС на 91? Может что с настройками сетевухи?

***я изначально неправильно понял кто у кого запрашивает arp, прочитал как клиент у шлюза, но если наоборот - то да, странно.

[Клёвый Админ]

@saygo ещё есть опасность arp спуфинга, забаньте 91 или выключите.

[saygo]

91 - роутер, dir-615, за ним - ТВ + ПК + ноутбук.

[Клёвый Админ]

@saygo вы в следующий раз сразу пишите "Есть два шлюза, между ними транизитная сеть, почему по транзитной сети ходит лишний, как мне кажется, arp траффик?" и ответ получите - у вас "по ту сторону" шлюза есть IP и их несколько, и в случае с NAT и в случае c route (причины разные - суть одна) первому шлюзу важно знать какие там есть IP и поддерживать свою таблицу MAC-IP адресов в актуальном состоянии.

Если вы уверены в благонадёжности вашей сети, то расслабьтесь =) Правда. Пятница же!

Answer 2

[throughtheether]

и как побороть

Зачем? Из приведенного вами листинга наблюдается трафик в виде одного arp-запроса в секунду. Если это представляет значительную нагрузку для вашей сети, то вы, на мой взгляд, что-то делаете неправильно.

что это

Я небольшой знаток сетевой подсистемы Linux, но есть следующие мысли. Во-первых, стоит убедиться, что запросы отправляет именно шлюз (снять дамп трафика со шлюза, отфильтровав на время ARP-запросы извне). Во-вторых, стоит проверить, корректно ли создается соответствующая запись в arp-таблице шлюза при получении ответа. В-третьих, стоит поискать отличия между этим хостом и любым другим, для которого такого поведения не наблюдается. Есть предположение, что таким образом dhcp-сервер (если он активен на шлюзе) проверяет активность хоста и, следовательно, востребованность выданного хосту адреса.

Comments

[saygo]

Зачем - ну на этот адрес (.91) периодически отваливается интернет. Помогает перезагрузка ПК (странно, что не роутера). Никаких аномалий кроме указанной не обнаружено.

[saygo]

И да, дамп снимался таки со шлюза.

[throughtheether]

Зачем - ну на этот адрес (.91) периодически отваливается интернет. Помогает перезагрузка ПК (странно, что не роутера)

Я бы на вашем месте сначала провел диагностику реально наблюдаемой проблемы, а потом бы уже думал, как убрать "излишний" трафик в виде 1 arp-запроса в секунду (если это вообще понадобится).